close
企業趨勢資訊保安

杜絕蠢、弱密碼強指紋認證十倍 Google 計劃推 Trust API 混合認證系統

近年網絡攻擊和數據外洩的保安事故頻生,除了涉事企業或網站要加強保安措施外,用戶也要負上一定責任。如 LinkedIn 於 2012 被黑客入侵,外洩大量帳戶密碼的事件中,資料顯示最多「專業人士」用的密碼仍然是 123456。現代人上網開設多個賬號,要記住的帳戶密碼少說也有十多個,不少人為求方便就使用了簡單易被破解的「蠢密碼」和「弱密碼」。

Google 日前就在其年度開發者大會上介紹名為 Trust API 的認證系統,可綜合多種生物特徵驗證用戶身份,預計該系統將於下月開始測試,最快可在年底面世,最終目標是取代沿用多年的密碼認證系統。

Trust-API-640x360

 

多重用戶特徵混合驗證 安全度勝指紋解鎖 10 倍

Google 旗下的先進技術開發部 (Advanced Technology and Projects group, ATAP) 主管 Daniel Kaufman 在 Google I/O 2016 上介紹該套名為 Trust API 的認證系統。有別於現時單一的驗證方式,日後 Android 用戶在使用 Google 服務時,Trust API 會透過多項生物特徵如面容、聲音以至打字或滑手機時的習慣,以及身處的位置和是否使用慣用的 WiFi 網絡等多項混合資訊來驗證用戶身份。

google-trust-score

Google 表示以上任何一項的安全措施都有機會破解,但透過混合多種措施的認證方式,比起單一的驗證方式無疑更安全有效,該公司更指 Trust API 認證系統若成功推行,安全度較之指紋認證超出十倍。

讀者可能覺得 Google 有誇大之嫌,但事實上指紋認證並非絕對安全,以公認保安措施充足的 Apple iOS 系統為例,其 Touch ID 指紋認證系統更是帶起了智能手機上生物特徵認證的潮流。

但該技術並非牢不可破,近日 Unwire 就做過相關實驗,只需利用牙科用的咬合紀錄用印模材和泥膠或紙粘土,就成功破解大部分智能手機的指紋認證系統(Android 和 iOS 系統兩者均有),可見單一的認證方式難以百分百確保安全,反而 Google 的 Trust API 的混合認證方式雖然仍待測試成效,但亦開拓了新的驗證概念。

 

值得一提的是,由於 Trust API 採用混合認證的方式,因此有別於傳統密碼的對或錯驗證概念,並非每項認證指標都需要完全符合才能通過認證,而是 Trust API 系統會根據評核「合格分數」來認證用戶身份,而該分數可根據服務的重要程度如網上銀行服務等,作出適當調整提高「合格分數」或使用多項生物特徵認證。

Trust API 認證系統預計將於下月開始測試,最快可在年底面世。Google 方面透露系統將開放給第三方測試,並容許其他機構的保安系統使用,而初期會首先供 Android 裝置的銀行客戶測試。

 

Source: Google  Phandroid   The Verge

 

Tags :googleTrust API
Ken Li

The authorKen Li

世事洞明皆學問,人情練達即文章。